CRISC-certificering voor IT-risicomanagement: eisen en examen

Wat is de CRISC-certificering?

ISACA geeft de CRISC uit. Het gaat om IT-risico, een onderdeel van risk management. Volgens de candidate guide van ISACA is de CRISC bedoeld voor ervaren professionals die IT-risico's beheren en die beheersmaatregelen voor informatiesystemen ontwerpen, implementeren, bewaken en onderhouden. Op de ISACA-pagina over de CRISC noemt ISACA de certificering een validatie van de vaardigheden van een moderne risicomanagementexpert.

Het zwaartepunt ligt bij risico en beheersing. Het is geen audit, zoals de CISA, en geen security-management, zoals de CISM, maar het sluit op beide aan. Wie vooral het beoordelen van systemen doet, of vooral de beveiligingsorganisatie aanstuurt, vindt in de CRISC een aanvulling op die kennis.

Eisen, prijzen en onderhoudsregels van ISACA kunnen veranderen. Lees daarom altijd de actuele informatie op de ISACA-site voordat je een examen plant.

Voor welke functies is de CRISC bedoeld?

ISACA richt de CRISC op ervaren professionals in het beheren van IT-risico's. De onderstaande functies raken de inhoud van de certificering. Dit is duiding over de inhoud van het werk, geen eis van een werkgever.

• Risk Manager: je beheert risico's breed binnen de organisatie, en IT is een van de onderdelen.
• IT Risk Manager: je legt IT-risico's vast, beoordeelt ze en volgt de maatregelen die erbij horen. Qua inhoud sluit deze functie het dichtst aan bij IT-risico.
• Operational Risk Analyst: je analyseert risico's in bedrijfsprocessen, ook als die processen op IT draaien.
• Third Party Risk Manager: je beoordeelt de risico's die bij leveranciers en andere externe partijen horen.
• Risk Consultant: je helpt organisaties hun risicobeheer in te richten of te verbeteren.
• Model Risk Analyst: je beoordeelt de risico's van modellen en de systemen waarin ze draaien.

Certificering en ervaring wegen per functie en per organisatie verschillend. Welke werkgevers deze functie hebben, zie je bij werkgevers voor de IT Risk Manager.

Bij het lezen van een vacature zeggen de taken meer dan de functietitel. Staan er IT-risico, beheersmaatregelen of een risicoregister in de omschrijving, dan sluit de functie aan op de inhoud van de CRISC. Titels verschillen per organisatie, dus lees de taken altijd mee.

Wat zijn de vier CRISC-domeinen?

ISACA verdeelt de inhoud van het examen over vier domeinen. Elk domein telt mee met een vast gewicht. De gewichten komen uit de candidate guide van ISACA en tellen samen op tot 100%.

Risk Response & Reporting weegt het zwaarst, met 32%. Wie de CRISC wil halen, moet dus vooral kunnen redeneren over wat je met een risico doet, en hoe je die keuze vastlegt en rapporteert. Het domein gaat over beslissen en verantwoorden, niet alleen over het benoemen van risico's.

Risk Assessment, met 22%, draait om het vaststellen en beoordelen van risico's. Vacatures waarin dit werk centraal staat, vind je bij risicobeoordeling. Technology and Security weegt het minst zwaar, met 20%.

Een voorbeeld maakt de domeinen concreet. Een team wil een nieuwe koppeling met een externe dienst in productie zetten, en de risicoanalyse laat zien dat een gevonden zwakte pas later opgelost kan worden. Dan kies je tussen verminderen, overdragen, vermijden of accepteren. De keuze zelf, de onderbouwing en wie haar goedkeurt, valt onder Risk Response & Reporting. Het vinden van de zwakte, het inschatten van kans en impact en het vastleggen in het risicoregister vallen onder Risk Assessment. Zo kun je per domein nagaan of je werk bij het juiste onderdeel van de examenomschrijving hoort.

Welke ervaring heb je nodig voor de CRISC?

ISACA vraagt minimaal drie jaar professionele CRISC-werkervaring. Die ervaring moet verdeeld zijn over minimaal twee van de vier domeinen en opgedaan zijn in de tien jaar voor de datum van je aanvraag. Die eis staat op de ISACA-pagina om de CRISC te behalen.

Vrijstellingen zijn er niet. Volgens de candidate guide zijn er voor de CRISC geen vrijstellingen of vervangingen voor de ervaringseis. Je mag het examen wel afleggen voordat je de ervaringseis hebt gehaald, maar je moet de ervaring hebben voordat je gecertificeerd wordt. Na het slagen heb je vijf jaar om de certificering aan te vragen.

De stappen zijn in deze volgorde:

1. Leg het examen af en wacht op de officiële scores.
2. Betaal de eenmalige aanvraagkosten van US$ 50.
3. Dien de online aanvraag in. Een leidinggevende of manager verifieert je ervaring.

Volgens de candidate guide is de ervaringseis voor de CRISC drie jaar, en voor de CISM en CISA vijf jaar. De eis voor de CRISC ligt dus lager. Die lagere eis zegt iets over de ervaring die je nodig hebt, niet over het examen zelf.

Ga vóór de aanvraag na of je werk minimaal twee domeinen raakt. Schrijf per project op welk domein het raakte. Zo kan de leidinggevende of manager die je ervaring verifieert je werk koppelen aan de domeinen, en zie je zelf waar je nog gaten hebt.

Hoe ziet het CRISC-examen eruit?

Het examen is computergestuurd. Je legt het af bij een erkend PSI-testcentrum of onder toezicht op afstand. Het bestaat uit 150 meerkeuzevragen en duurt vier uur, dat is 240 minuten. Elke vraag heeft vier antwoordopties, waarvan er één het beste antwoord is.

ISACA rapporteert de score op een schaal van 200 tot 800. Je hebt 450 of hoger nodig om te slagen. Foute antwoorden leveren geen strafpunten op, dus laat geen vraag leeg, ook als je het antwoord alleen kunt inschatten.

De examentalen zijn Engels, Spaans en Japans. Nederlands staat niet op de lijst, dus plan je voorbereiding in het Engels. Oefen met de Engelse vakbegrippen uit je eigen werk, zoals risk register en risk appetite. Kun je de begrippen in het Engels, dan hoef je tijdens het examen minder te vertalen.

Je hebt vier pogingen in een voortschrijdende periode van twaalf maanden. Na de eerste poging wacht je minimaal 30 dagen, en na de tweede en derde poging minimaal 90 dagen. Voor elke poging betaal je de volledige registratiekosten. De precieze regels staan in de candidate guide.

Wat kost de CRISC?

Het CRISC-examen kost volgens de candidate guide van ISACA (uitgave 2026) US$ 575 voor ISACA-leden en US$ 760 voor niet-leden. Na de registratie heb je zes maanden om het examen af te leggen. Een verlenging van zes maanden kost US$ 75, en je kunt maximaal één verlenging nemen.

Daarbovenop komen de eenmalige aanvraagkosten van US$ 50 na het slagen, en de jaarlijkse onderhoudsvergoeding die in de volgende sectie staat. De bedragen staan in dollars en zijn hier niet omgerekend. Lidmaatschapskosten van ISACA vallen buiten dit artikel.

Hoe houd je de CRISC geldig?

Om de CRISC te behouden heb je minimaal 20 CPE-uren (Continuing Professional Education) per jaar nodig, en 120 CPE-uren over een periode van drie jaar. De jaarlijkse onderhoudsvergoeding is US$ 45 voor ISACA-leden en US$ 85 voor niet-leden. Je betaalt die uiterlijk 1 januari.

Regels over controle en intrekking van de certificering staan op de ISACA-pagina over het onderhoud van de CRISC. Lees ze daar zelf na, want ISACA kan ze aanpassen.

Hoe bereid je je voor op de CRISC?

Begin bij de examenomschrijving en de candidate guide. Die laten zien hoe het examen is opgebouwd en welke gewichten per domein gelden. Plan je voorbereiding op basis van die indeling.

Geef de meeste aandacht aan Risk Response & Reporting, want dat domein weegt met 32% het zwaarst. Oefen met vragen met één beste antwoord, en let bij elke vraag op welke keuze het beste past bij het risico dat wordt beschreven.

Koppel elk domein aan voorbeelden uit je eigen werk. Denk aan een risicoregister dat je hebt bijgehouden, een rapportage aan een risicocommissie of de uitkomst van een risicoanalyse die je hebt gedaan. Wie al ervaring heeft met een norm zoals ISO 31000, kent al deels dezelfde taal. Dat is een overlap in begrippen, geen uitspraak over waarop de CRISC is gebaseerd.

Schrijf per domein één werksituatie uit. Beschrijf wat het risico was, welke afweging je maakte en wat je rapporteerde. Die drie stappen raken Risk Response & Reporting direct. Heb je bij een domein geen voorbeeld, lees je dan eerst in op dat domein in plaats van het over te slaan.

Maak daarna een planning die past binnen de zes maanden registratieperiode, zodat het examen niet verloopt. Begin met de domeinen waar je het minst ervaring mee hebt, zodat je daar de meeste ruimte houdt.

CRISC naast CISM, CISA en CISSP

De CRISC gaat over IT-risico en beheersing. De CISM gaat over het managen van informatiebeveiliging. De CISA gaat over het beoordelen van informatiesystemen. De CISSP is breder en raakt meerdere vakgebieden binnen security. Welke certificering het beste bij jouw werk past, lees je in het artikel CISSP, CISM of CISA: welke certificering past.

In Nederland vragen wetten als NIS2 en DORA om risicobeheer en beheersing. De inhoud van de CRISC sluit daarop aan, maar geen van deze wetten vereist de certificering.

In de financiële dienstverlening en bij grotere organisaties kunnen er aparte rollen zijn voor operationeel risico, IT-risico en derdenrisico. De CRISC sluit het dichtst aan bij IT-risico. Welke rol bij jou past, hangt af van de organisatie en van waar je werk over gaat.

Kies je tussen de CRISC en de CISA, dan is de vraag of je vooral wilt beoordelen of juist wilt ontwerpen, implementeren en bewaken. Dat is een afweging over je dagelijks werk, niet over welke certificering het zwaarst klinkt. Kies je tussen de CRISC en de CISM, dan kijk je of je risico's en beheersing wilt dragen binnen je functie, of het managen van informatiebeveiliging als geheel. Lees het keuzeartikel naast deze afwegingen en vergelijk ze met de taken die je nu doet.